情報セキュリティ基本方針（セキュリティポリシー）

情報セキュリティ基本方針は、情報を守る目的と組織の基本姿勢を、経営の責任で示す文書です。 詳細な設定値を列挙するより、誰のどの情報を守り、経営が何を実行するかを明確にします。

本カテゴリでは「セキュリティポリシー」を基本方針の意味で使います。組織によっては規程・基準全体を指すため、文書の冒頭で位置づけを説明してください。

記載する項目

項目	書く内容	作成時の確認
目的	事業継続、信頼維持、情報の保護	自組織の事業と結び付いているか
適用範囲	組織、対象者、情報、拠点、外部サービス	紙・電子・口頭の情報を含むか
保護の原則	機密性・完全性・可用性、リスクに応じた対策	「漏えい防止」だけに偏っていないか
要求事項への対応	適用される法令、契約、関係者の要求	対応を確認する担当者がいるか
経営の責任	責任者・権限・人材・予算の確保と監督	実行可能な約束になっているか
教育と報告	ルールの周知、教育、事故・疑いの報告	現場が報告しやすい姿勢を示すか
点検・改善	点検、監査、事故後の見直し	定期と臨時の見直しがあるか
承認情報	制定日、改訂日、版、承認者	正式な承認記録と一致するか

基本方針のひな形

以下は一般的な企業を想定した独自の例です。名称・対象範囲・承認者を実際の体制に合わせて書き換えます。

情報セキュリティ基本方針

1. 目的
当社は、お客様、取引先、従業員および当社の情報を適切に保護し、
事業の継続と信頼の維持を図るため、情報セキュリティに取り組みます。

2. 適用範囲
本方針は、当社の役員・従業員と、当社の情報を扱う業務に適用します。
対象は電子データ、紙の文書、口頭で共有する情報、およびそれらを
扱う設備・システム・外部サービスです。委託先への要求は契約等で定めます。

3. 保護の基本原則
当社は情報の機密性・完全性・可用性を確保するため、事業への影響と
リスクに応じた人的・組織的・物理的・技術的対策を実施します。

4. 要求事項への対応
当社は、適用される法令、契約および合意した関係者の要求を把握し、
情報の取扱いと対策へ反映します。

5. 経営の責任と体制
経営は情報セキュリティ責任者と必要な権限を定め、対策に必要な人材・
予算を確保します。重要なリスクと対策の実施状況を確認し、改善を指示します。

6. 教育と事故対応
当社は対象者にルールを周知し、役割に応じた教育を行います。
事故またはその疑いを速やかに報告できる体制を整え、影響の抑制、
復旧および再発防止を行います。

7. 継続的な改善
当社は対策の有効性を点検し、本方針と関連文書を定期的に見直します。
事業・技術・要求事項の変更や重大事故の際にも必要な見直しを行います。

制定日：YYYY年MM月DD日　改訂日：YYYY年MM月DD日　版：1.0
組織名：〇〇株式会社　承認者：代表取締役〇〇
関連文書：情報セキュリティ管理規程

公開版と内部版

対外公表する場合は、目的・経営の姿勢・一般的な取組を中心にします。監視の詳細、システム構成、個人の連絡先、具体的な弱点などは、公開範囲を確認して内部文書に置きます。

内部版に適用範囲や承認権限を詳しく記載する場合も、公開版と約束が食い違わないようにします。「すべての事故を防止する」「完全な安全を保証する」など、実証できない断定は避けます。

方針を実際の運用に結び付ける

方針の約束	具体化する文書・活動	確認する記録
リスクに応じて保護する	資産分類、リスク評価、対策計画	資産・リスク台帳、対策の承認
経営が資源を確保する	年度計画、担当者の任命、予算審議	任命・決裁・経営会議の記録
教育・事故対応を行う	教育計画、事故報告・対応手順	受講記録、訓練結果、事故記録
継続的に改善する	点検・監査、文書見直し	是正計画、完了確認、改訂履歴

作成・承認時のチェック

事業と保護対象が分かり、経営の具体的な責任がある。
義務の詳細を管理規程に、設定や数値を基準に分けている。
承認者が職務権限と一致し、従業員への周知方法が決まっている。
年1回等のレビュー周期と、重大な変更時のレビュー条件を決めている。レビューのたびに改訂する必要はなく、変更不要の判断も記録する。